Por Canuto  

El atacante vinculado a las explotaciones de Coldcard ya movilizó el 45% de los fondos asociados con la tercera ola, mientras Galaxy Research rastrea operaciones por 97,09 BTC y advierte sobre nuevas pérdidas potenciales.
***

  • Galaxy Research calcula que el atacante movió el 45% de los fondos robados durante la tercera ola de ataques contra Coldcard.
  • El operador gastó 97,09 BTC, valorados en USD $7,8 millones, y utilizó intercambios en THORChain y transacciones CoinJoin.
  • Las pérdidas identificadas podrían alcanzar BTC 1.806, equivalentes a USD $143,9 millones, tras incorporar una bóveda previamente desconocida.

El movimiento de los fondos robados

El atacante relacionado con las explotaciones de las carteras de hardware Coldcard movilizó 45% de los fondos sustraídos durante la tercera ola de ataques, de acuerdo con el seguimiento de Galaxy Research. La actividad añade presión sobre las víctimas y los investigadores, porque el operador está trasladando los BTC en una secuencia aparentemente organizada por tamaño, mientras utiliza distintos mecanismos de intercambio y mezcla que complican el rastreo de los activos.

Galaxy Research indicó que el operador continuó moviendo el BTC robado después de haber intercambiado parte de las monedas por ETH a través de THORChain el 2 de septiembre. Posteriormente, el domingo, el atacante comenzó a pasar los fondos por transacciones CoinJoin, una técnica que combina monedas de distintos usuarios en una misma operación para complicar la identificación del origen y destino de cada activo.

Hasta ahora, el atacante gastó BTC 97,09, valorados en aproximadamente USD $7,8 millones según la valoración utilizada en el reporte. La firma señaló que las monedas están saliendo de las direcciones en orden de tamaño, comenzando por las bóvedas que concentraban los saldos más grandes, un patrón que permite observar cómo la operación avanza de manera sistemática y no como una serie de movimientos aislados.

De acuerdo con el análisis, las posiciones numeradas del 1 al 11 ya fueron movilizadas. Las siguientes 10 bóvedas intactas contienen BTC 30,81, mientras que las bóvedas más pequeñas, ubicadas entre las posiciones 61 y 293, reúnen BTC 33,77 en conjunto, lo que mantiene abierta la posibilidad de nuevos movimientos en los próximos días.

Una operación que combina intercambios y mezcla

El uso de THORChain permitió al atacante intercambiar BTC por ETH sin depender de una plataforma centralizada tradicional, según la información citada por Galaxy Research. Aunque ese tipo de protocolo facilita conversiones entre redes, también puede introducir nuevas rutas de rastreo, ya que los movimientos dejan registros públicos en más de una cadena y pueden ser analizados mediante herramientas de inteligencia blockchain.

Las transacciones CoinJoin representan una etapa diferente de la estrategia. En vez de convertir directamente los fondos a otro activo, el operador busca mezclar entradas y salidas para reducir la claridad del vínculo entre las monedas robadas y las direcciones que finalmente las reciben, aunque la mezcla no elimina por completo las huellas visibles en las redes públicas.

Galaxy Research calcula que 82% del total de los fondos explotados de los dispositivos Coldcard todavía permanece en las direcciones originales controladas por el atacante. El 18% restante ya fue trasladado. Estos movimientos pueden complicar el seguimiento, pero no permiten confirmar por sí solos el destino final ni el propósito de cada operación.

La diferencia entre fondos conservados en las direcciones iniciales y fondos ya movilizados resulta relevante para las víctimas y para quienes intentan seguir el caso. Mientras los BTC permanezcan en direcciones identificadas, existe una mayor visibilidad sobre los saldos; cuando pasan por intercambios entre cadenas y esquemas de mezcla, la atribución se vuelve más compleja, aunque no necesariamente imposible.

Causas de movimientos recientes

(a) Confirmado: Galaxy Research atribuye los movimientos recientes al traslado de fondos vinculados con la tercera ola de ataques. El atacante intercambió parte del BTC por ETH a través de THORChain el 2 de septiembre y posteriormente utilizó transacciones CoinJoin, de acuerdo con el rastreo citado en el reporte.

(b) Plausible: el orden de los movimientos, que comienza con las bóvedas de mayor saldo, podría responder a una estrategia para liquidar o fragmentar primero las posiciones más grandes. Sin embargo, la secuencia observada no permite confirmar por sí sola cuál es el destino final de los fondos ni si todos serán convertidos o mezclados.

El origen del problema en Coldcard

Los robos comenzaron el 30 de julio y se vincularon con un error de firmware distribuido por Coinkite en 2021. El fallo afectó el proceso mediante el cual los dispositivos Coldcard generaban las semillas de las carteras, al reducir la aleatoriedad utilizada para crear esas credenciales criptográficas.

Una semilla de cartera funciona como la base para derivar las claves privadas que permiten controlar los fondos. Si el proceso de generación utiliza menos aleatoriedad de la necesaria, un atacante puede reducir el número de combinaciones posibles y probarlas mediante fuerza bruta, sin tener que acceder físicamente al dispositivo de la víctima.

Según la información disponible, esa debilidad permitió vaciar direcciones de firma única asociadas con los dispositivos afectados. El atacante no necesitó tocar las carteras de hardware, porque el problema se encontraba en la forma en que se generaron las semillas y, por tanto, en la previsibilidad de las claves derivadas de ellas.

Coinkite publicó firmware corregido para reparar la generación de semillas futuras, pero esa actualización no corrige las semillas que ya fueron generadas bajo las condiciones defectuosas. La compañía describió el incidente como un problema de generación debilitada de semillas, no como un acceso remoto o una toma de control de los dispositivos Coldcard.

A mediados de agosto, Galaxy Research había identificado aproximadamente BTC 1.779 robados a 190 víctimas y distribuidos en más de 8.600 direcciones. La escala del conteo refleja la dificultad de separar cada caso individual, especialmente cuando una misma campaña puede involucrar múltiples direcciones, bóvedas y patrones de transferencia.

Nuevas pérdidas y posible cuarta ola

La investigación también incorporó una bóveda que no había sido contabilizada previamente. Galaxy Research señaló que el atacante realizó un movimiento de fondos en conjunto, o “co-gastó”, una bóveda desconocida compuesta por 58 direcciones que probablemente pertenecen a víctimas de Coldcard.

Con esa incorporación, las pérdidas totales estimadas ascienden a BTC 1.806, equivalentes a aproximadamente USD $143,9 millones según la valoración mencionada en el reporte. La cifra no representa necesariamente un saldo recuperado ni una valoración definitiva de cada caso, sino una estimación del volumen de activos que la investigación vincula con las explotaciones.

Galaxy Research también mencionó la posibilidad de que exista una cuarta ola de ataques, aunque todavía no la ha confirmado. Esa cautela es importante, porque una nueva agrupación de direcciones podría ampliar el alcance del incidente, pero no debería presentarse como un hecho mientras no existan evidencias suficientes para vincularla con la misma vulnerabilidad o con el mismo operador.

El caso deja abierta una preocupación más amplia para los propietarios de hardware wallets: la seguridad de un dispositivo no depende únicamente de que permanezca desconectado o físicamente protegido. Si las semillas fueron generadas bajo condiciones defectuosas, el aislamiento del equipo no impide que un tercero reconstruya las claves y transfiera los fondos desde la cadena de bloques.

Qué significa el rastreo para las víctimas

El movimiento escalonado de las bóvedas ofrece a los analistas una referencia para anticipar cuáles podrían ser los siguientes grupos afectados. Sin embargo, identificar una dirección asociada con una víctima no equivale a recuperar los fondos, porque el control de las claves permanece en manos del atacante y las transacciones en Bitcoin son, por regla general, irreversibles.

La mezcla mediante CoinJoin puede retrasar la identificación de los destinatarios finales, pero también genera patrones que los investigadores pueden comparar con operaciones anteriores. El seguimiento de montos, tiempos, tamaños de entrada y conexiones entre redes permite construir hipótesis sobre el comportamiento del operador, aunque esas hipótesis requieren validación antes de convertirse en atribuciones definitivas.

Para las personas afectadas, la prioridad consiste en determinar si sus direcciones forman parte de los grupos identificados y documentar los movimientos vinculados con ellas. La información publicada hasta ahora muestra que el incidente no se limita a una sola cartera o a un pequeño conjunto de direcciones, sino que abarca cientos de bóvedas y miles de direcciones potencialmente comprometidas.

Mientras el atacante conserve 82% de los fondos explotados en sus direcciones originales, el mapa del caso podría cambiar rápidamente. Cada nueva transferencia puede elevar el monto contabilizado, revelar una bóveda desconocida o confirmar conexiones entre grupos de víctimas, por lo que la investigación seguirá dependiendo del monitoreo continuo de la cadena y de la actualización de las direcciones relacionadas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.
Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados